Erantzun Azkarra: GDPRren arabera, datu-kontrolatzaile batek datu pertsonalak zergatik eta nola prozesatzen diren zehazten du, eta datu-prozesatzaile batek datuak kontrolatzailearen argibideen arabera soilik kudeatzen ditu. Erantzukizuna nabarmen aldatzen da: kontrolatzaileek dute erantzukizun zabalena, eta prozesatzaileek zuzeneko erantzukizuna dute soilik legezko argibideetatik kanpo jarduten dutenean edo berariaz haiei zuzendutako GDPR betebeharrak urratzen dituztenean.
Funtsezko Ondorioak
- Datu-kontrolatzaile batek prozesamenduaren helburuak eta bitartekoak erabakitzen ditu; datu-prozesatzaile batek kontrolatzailearen izenean jarduten du.
- Kontrolatzaileek dute GDPRren lehen mailako erantzukizuna; prozesatzaileek zuzeneko erantzukizuna dute 82. artikuluaren arabera egoera zehatzetan soilik.
- Bi rolak aldi berean egon daitezke erakunde batean; enpresa bat kontrolatzailea izan daiteke bere bezeroentzat eta prozesatzailea beste negozio batentzat.
- Datuak Prozesatzeko Akordio (DPA) lotesle bat derrigorrezkoa da kontrolatzaile batek prozesatzaile bat kontratatzen duen bakoitzean.
- Azpiprozesatzaileek kontrolatzailearen aurretiazko idatzizko baimena behar dute; prozesatzaile nagusiak erabat erantzuten du azpiprozesatzailearen jokabidearen aurrean.
- Zure rola gaizki sailkatzea betetze-arrisku bat da, eta zure erakundea arauzko zigorren aurrean jar dezake.
- Datu pertsonalak beren helburuetarako erabiltzen dituzten prozesatzaileak automatikoki bihurtzen dira prozesamendu-jarduera horren kontrolatzaile.
- Erresuma Batuko 2026ko Datuen (Erabilera eta Sarbidea) Legeak aldaketa gehiago dakartza, eta UK GDPRren arabera jarduten duten erakundeek berehala berrikusi beharko lituzkete.
Zein da Datu-Kontrolatzailearen eta Datu-Prozesatzailearen arteko Aldea GDPRren arabera?
Datu-kontrolatzailea datu pertsonalak prozesatzeko helburuak eta bitartekoak zehazten dituen edozein entitate da. Datu-prozesatzailea datu pertsonalak kontrolatzaile baten izenean prozesatzen dituen edozein entitate da, kontrolatzailearen argibideak zorrozki jarraituz [1].
Bereizketa erabakiak hartzeko autoritatean oinarritzen da. Zure erakundeak datuak zergatik biltzen diren eta nola erabiliko diren erabakitzen badu, kontrolatzailea zara. Zure erakundeak datuak beste entitate batek agindu dizulako soilik kudeatzen baditu, eta helburuan inolako esan independenterik ez baduzu, prozesatzailea zara.
Adibide praktikoak:
| Eszenatokia | Rola |
|---|---|
| Bezeroen erosketa-datuak biltzen dituen merkataritza elektronikoko saltzaile bat | Kontrolatzailea |
| Saltzaile horren datu-basea gordetzen duen hodeiko hosting hornitzaile bat | Prozesatzailea |
| Enplegatzaile baten langileen datuak prozesatzen dituen nominak kudeatzeko SaaS plataforma bat | Prozesatzailea |
| Bere prospektu-zerrenda propioa sortzen duen marketin-agentzia bat | Kontrolatzailea |
| Bezeroen datuak eskuratzen dituen CRM hornitzaile bat laguntza emateko | Prozesatzailea |
ICOk azpimarratzen du kontratu bateko etiketak ez duela rola zehazten, benetako jokabideak baizik [1]. Kontratu batean "prozesatzaile" deitzen den baina datuen erabilerari buruzko erabaki independenteak hartzen dituen hornitzaile bat legez kontrolatzailea da, akordioak dioena edozein dela ere.
Zeintzuk dira Datu-Kontrolatzaile baten Erantzukizun Nagusiak GDPRren arabera?
Kontrolatzaileek dute GDPRren betetze-zama handiena. Datuen bizi-ziklo osoaren erantzule dira, eta kontratatzen duten edozein prozesatzailek GDPR estandarrak betetzen dituela ziurtatu behar dute [3].
Kontrolatzailearen oinarrizko betebeharrak honako hauek dira:
- Prozesamendu-jarduera bakoitzerako legezko oinarri bat ezartzea eta dokumentatzea
- Datu-subjektuei pribatutasun-ohar gardenak ematea
- Datu-subjektuen eskubideak erraztea: sarbidea, zuzenketa, ezabaketa, eramangarritasuna eta aurka egitea
- Datuak Babesteko Eraginaren Ebaluazioak (DPIAk) egitea arrisku handiko prozesamenduetarako
- Datuak Babesteko Ofizial bat (DPO) izendatzea, beharrezkoa denean
- Prozesatzaileak kontratatu aurretik beharrezko diligentzia egitea eta haien etengabeko betetzea monitorizatzea
- Kontratatutako prozesatzaile bakoitzarekin idatzizko Datuak Prozesatzeko Akordio bat gauzatzea [3]
Kontrolatzaileek ezin dute erantzukizuna azpikontratatu. Prozesatzaile batek urraketa bat eragiten duenean ere, kontrolatzaileak erantzule izaten jarraitzen du gainbegiratze-agintarien aurrean, prozesatzailearen aukeraketagatik eta kontratuzko babesen egokitasunagatik.
Zeintzuk dira Datu-Prozesatzaile baten Erantzukizun Nagusiak GDPRren arabera?
Prozesatzaileek GDPRren betebehar zuzenak dituzte, ez soilik kontratuzkoak, eta ezin dute betetzea kontrolatzailearen arazo bakar gisa tratatu [3].
GDPRren araberako prozesatzailearen betebehar zuzenak honako hauek dira:
- Datuak kontrolatzailearen dokumentatutako argibideen arabera soilik prozesatzea
- Segurtasun-neurri tekniko eta antolakuntzako egokiak ezartzea
- Kontrolatzaileen izenean egindako prozesamendu-jarduera guztien erregistroak mantentzea
- Kontrolatzaileari datu-urraketa baten berri ematea atzerapenik gabe
- Kontrolatzaileari laguntzea datu-subjektuen eskubideen eskaerak betetzen
- Datu pertsonal guztiak ezabatzea edo itzultzea kontratua amaitzean
- Azpiprozesatzaileak soilik kontrolatzailearen aurretiazko idatzizko baimenarekin kontratatzea [3]
"Prozesatzaileek GDPRren araberako betebehar zuzenak dituzte, ez soilik kontratuzko betebeharrak, eta arauzko esposizioa dute kontrolatzailearen legezko argibideetatik kanpo jarduten badute."
Nork du Erantzukizuna Datu-Urraketa bat gertatzen bada: Kontrolatzaileak ala Prozesatzaileak?
Biek izan dezakete erantzukizuna, baina esparrua desberdina da. GDPRren 82. artikuluaren arabera, GDPRren urraketa baten ondorioz kalteak jasaten dituen edozein pertsonak kalte-ordaina eskatzeko eskubidea du erantzule den kontrolatzaileari edo prozesatzaileari [2].
Kontrolatzaileek GDPR urratzen duen edozein prozesamenduk eragindako kalteen erantzule dira. Prozesatzaileek erantzule dira soilik prozesatzaileei berariaz zuzendutako GDPR betebeharrak ez betetzeagatik, edo kontrolatzailearen legezko argibideetatik kanpo edo horien aurka jardun dutenean [2].
Erantzukizunaren esleipena praktikan:
- Prozesatzaile batek urraketa bat jasaten badu kontrolatzaileak segurtasun-argibide desegokiak eman zituelako, kontrolatzaileak izango du ziurrenik lehen mailako erantzukizuna.
- Prozesatzaile batek kontrolatzailearen segurtasun-eskakizunak baztertu baditu, prozesatzaileak izango du zuzeneko erantzukizuna.
- Biak izan daitezke elkarrekin eta solidarioki erantzule, hau da, datu-subjektu batek bi alderdietako edozeini eska diezaioke kalte-ordain osoa, eta gero haien artean banatu beharko dute erantzukizuna.
Prozesatzaile batek erantzukizunetik ihes egin dezake kaltea eragin zuen gertaeraren erantzule ez zela frogatuz [2]. Hau zailtasun handiko atalasea da: prozesatzaileak GDPRren betebeharrak erabat bete zituela frogatu behar du.
Enpresa bat Kontrolatzailea eta Prozesatzailea izan al daiteke aldi berean?
Bai. Erakunde batek aldi berean kontrolatzaile gisa jardun dezake prozesamendu-jarduera batzuetarako eta prozesatzaile gisa beste batzuetarako, negozio-harreman berean ere [1].
Adibidez, marketin digitaleko agentzia batek kontrolatzaile gisa jardun dezake bere langileen HR datuak kudeatzen dituenean, eta prozesatzaile gisa bezero baten datuak erabiliz publizitate-kanpainak egiten dituenean. Rola jarduera bakoitzaren arabera zehazten da, ez enpresa bakoitzaren arabera.
Prozesatzaile bat Kontrolatzaile bihur al daiteke Datuak Bere Helburuetarako erabiltzen baditu?
Prozesatzaile bat automatikoki kontrolatzaile bihurtzen da datu pertsonalak kontrolatzailearen argibideetatik haratago dauden helburuetarako erabiltzen dituen unean [1]. Hau da praktikan gertatzen den sailkapen oker garrantzitsuenetako bat.
Hodeiko analitika hornitzaile batek bezeroen datuak bere AI ereduak trebatzeko erabiltzen hasten bada baimenik gabe, prozesatzailearen roletik irten eta jarduera horren kontrolatzaile estatusa hartu du, horrekin batera datozen GDPR betebehar eta erantzukizun guztiekin. Kontratu-klausula batek ere ezin du birsailkapen hori eragotzi; gertaera-kontua da, ez akordio-kontua.
Nola Babesten Dituzte Datuak Prozesatzeko Akordioek Prozesatzaileak Erantzukizunetik?
Datuak Prozesatzeko Akordio (DPA) bat GDPRren arabera derrigorrezko tresna juridiko bat da kontrolatzaile batek prozesatzaile bat kontratatzen duen bakoitzean [3]. Prozesatzaileentzat, ondo idatzitako DPA bat erantzukizun-esposizioa mugatzeko mekanismo nagusia da.
DPA betetzaile batek honako hauek zehaztu behar ditu:
- Prozesamenduaren gaia, iraupena, izaera eta helburua
- Datu pertsonal mota eta datu-subjektuen kategoriak
- Kontrolatzailearen betebeharrak eta eskubideak
- Baimendutako langileentzako konfidentzialtasun-eskakizunak
- Ezartzeko segurtasun-neurriak
- Azpiprozesatzaileak kontratatzeko baldintzak
- Datuak itzultzeko edo ezabatzeko prozedurak kontratua amaitzean [3]
Prozesatzaile batek DPAren esparruan zorrozki jarduten duenean, sortzen den edozein kalteren erantzukizuna kontrolatzaileari pasatzen zaio nagusiki. Alderantziz, prozesatzaile batek argibide horiek gainditzen baditu, DPA desbideratzearen froga bihurtzen da, ez babes-ezkutu.
Zer gertatzen da Prozesatzaile batek GDPR Arauak urratzen baditu?
GDPR urratzen duten prozesatzaileek arauzko isunak eta kalteengatiko erantzukizun zibila jasaten dituzte. Gainbegiratze-agintariek administrazio-isunak ezar diezazkiekete zuzenean prozesatzaileei, 20 milioi euro arte edo urteko munduko fakturazioaren %4 arte, urraketa larrienetan, bietatik handiena dena [2].
Isunez gain, prozesatzaileek 82. artikuluaren araberako erreklamazioak jasaten dituzte kalteak jasan dituzten datu-subjektuen aldetik. Kontratuzko erantzukizuna ere izan dezakete kontrolatzailearekiko DPAren arabera, kalte-ordain betebeharrak barne.
Prozesatzaileek Datuak Babesteko Ofizial Propioa behar al dute?
Prozesatzaileek DPO izendatzeko atalase berberak dituzte kontrolatzaileek bezala. Prozesatzaile batek DPO bat izendatu behar du, baldin eta pertsonen eskala handiko eta sistematikoko monitorizazioa egiten badu, edo datu-kategoria bereziak edo zigor-kondena datuak eskala handian prozesatzen baditu [1].
Prozesatzaile izateak ez du erakunde bat DPO eskakizunetik salbuesten. Prozesatzaile gisa jarduten duten hodeiko hornitzaile eta SaaS plataforma handi askok DPO bat mantendu behar dute, hain zuzen ere kudeatzen duten datu-bolumen eta sentikortasunagatik.
Zein da GDPRren Isunen Aldea Kontrolatzaileen eta Prozesatzaileen artean?
GDPRren bi mailatako isun-egitura berdin aplikatzen zaie kontrolatzaileei eta prozesatzaileei. Lehen mailak urraketa ez hain larriak hartzen ditu (10 milioi euro arte edo munduko fakturazioaren %2); bigarren mailak urraketa larrienak hartzen ditu, legez kanpoko prozesamendua eta datu-subjektuen eskubideak ez errespetatzea barne (20 milioi euro arte edo munduko fakturazioaren %4) [2].
Ez dago legezko deskonturik prozesatzaileentzat. Hala ere, praktikan, gainbegiratze-agintariek errua, lankidetza eta urraketaren izaera ebaluatzen dituzte isun-kopuruak zehaztean, eta faktore horiek emaitza desberdinak ekar ditzakete kontrolatzaileentzat eta prozesatzaileentzat gertaera berean.
Azpiprozesatzaileek Erantzukizun Desberdina al dute Prozesatzaile Nagusiek baino?
Azpiprozesatzaileek prozesatzaile nagusiek bezalako GDPR betebeharrak dituzte, baina kontratuz prozesatzaile nagusiari lotuta daude, ez zuzenean kontrolatzaileari. Bereizketa kritikoa: prozesatzaile nagusiak erabat erantzuten dio kontrolatzaileari azpiprozesatzailearen errendimenduaren aurrean [3].
Azpiprozesatzaile batek urraketa bat eragiten badu, kontrolatzailearen legezko erreklamazioa prozesatzaile nagusiaren aurka doa. Prozesatzaile nagusiak orduan azpiprozesatzailea bereizita auzitara eraman behar du. Azpiprozesatzaileek ere zuzeneko arauzko ekintzak jasan ditzakete gainbegiratze-agintarien aldetik beren GDPR urraketengatik.
Azpiprozesatzailearen arauak begirada batean:
- Kontrolatzailearen aurretiazko idatzizko baimena behar da edozein azpiprozesatzaile kontratatu aurretik
- Prozesatzaile nagusiak datuak babesteko betebehar baliokideak ezarri behar dizkio azpiprozesatzaileari
- Prozesatzaile nagusiak ezin du erantzukizunetik ihes egin azpiprozesatzailearen errua adieraziz
Nola zehazten duzu zure negozioarentzat Kontrolatzailea edo Prozesatzailea zaren?
Zehaztapena galdera bakar batean oinarritzen da: zure erakundeak modu independentean erabakitzen al du datu pertsonalak zergatik prozesatzen diren? Baietz bada, kontrolatzailea zara. Datuak beste entitate batek agindu dizulako soilik prozesatzen badituzu, eta helburu independenterik ez baduzu, prozesatzailea zara [1].
Erabaki praktikoen kontrol-zerrenda:
- Nork erabaki zuen datu hauek biltzea lehenik eta behin?
- Nork zehaztu zuen datuak zertarako erabiliko ziren?
- Zure erakundeak diskrezioa al du datuak nola prozesatzen diren, ala beste alderdi baten zehaztapenak jarraitzen ari zara?
- Prozesamendua geldituko al litzateke beste alderdiak bere argibideak erretiratuko balitu?
- Datuak zure erakundearentzat modu independentean onuragarria den helbururen baterako erabiltzen ari zara?
Zure erantzunek galdera hauetan norabide desberdinak adierazten badituzte, kontrolatzaile bateratu bat izan zaitezke, eta horrek beste alderdiarekin gardentasun-akordio bereizi bat eskatzen du [1].
Zeintzuk dira Enpresek Kontrolatzaile eta Prozesatzaile roletan egiten dituzten Akats Ohikoenak?
Sailkapen okerra da akatsik ohikoena, eta betetze-ondorio errealak dakartza. Erakundeek sarritan uste dute kontratu batean "saltzaile" edo "zerbitzu-hornitzaile" deitzeak prozesatzaile bihurtzen dituela, nahiz eta haien benetako jokabideak kontrolatzaile gisa sailkatzen dituen.
Beste akats ohiko batzuk:
- DPA saltatzea: Kontrolatzaileek prozesatzaileak idatzizko DPArik gabe kontratatzeak GDPR urratzen du zuzenean, prozesatzailearen sistemak zein seguruak diren kontuan hartu gabe.
- Azpiprozesatzaileak ez ikuskatzea: Kontrolatzaileek sarritan ahazten dute beren prozesatzaileak azpiprozesatzaileak kontratatu dituela baimenik gabe edo kontratuzko babes baliokiderik gabe.
- Prozesatzaileek datu-subjektuen eskubideak kudeatzen dituztela suposatzea: Kontrolatzaileek datu-subjektuen eskaerei erantzutearen ardura dute; prozesatzaileek lagundu baino ez dute egiten.
- Birsailkapen-arriskua ez ikusi egitea: Zerbitzuak zabaltzen dituzten eta bezeroen datuak analitikarako, ereduak trebatzeko edo erreferentzia-puntuak ezartzeko erabiltzen hasten diren prozesatzaileak, nahi gabe, kontrolatzaile bihur daitezke aldaketa hori aitortu gabe.
Webgune eta propietate digitaletan baimenak eta datu-fluxuak kudeatzen dituzten erakundeentzat, Biscotti CMP bezalako baimen-kudeaketarako plataforma batek kontrolatzaileei legezko oinarriak dokumentatzen eta baimen-erregistroak kudeatzen lagun diezaieke, GDPRren araberako kontrolatzailearen erantzukizunaren oinarrizko elementu bat baita.
Nola kudeatu beharko lituzke Enpresa Txiki batek Kontrolatzaile vs. Prozesatzaile Erantzukizunak?
Enpresa txikiak ez daude GDPRren kontrolatzaile-prozesatzaile esparrutik salbuetsita. Enpresa txiki batek bezeroen datuak biltzen baditu, nahiz eta buletin baterako helbide elektronikoak soilik izan, kontrolatzailea da eta kontrolatzailearen betebehar guztiak bete behar ditu.
Enpresa txikientzako urrats praktikoak:
- Zure izenean datu pertsonalak kudeatzen dituen tresna edo hornitzaile bakoitza mapatu (posta elektronikoko plataformak, analitika-tresnak, ordainketa-prozesatzaileak, CRMak).
- Egiaztatu hornitzaile bakoitzarekin sinatutako DPA bat dagoen.
- Egiaztatu hornitzaile bakoitzaren DPAk GDPRren gutxieneko eskakizunak betetzen dituela.
- Zure prozesamendu-jarduerak zehatz-mehatz deskribatzen dituen pribatutasun-ohar bat argitaratu.
- Datu-subjektuen eskaerei 30 eguneko legezko epean erantzuteko prozesu bat ezarri.
Erresuma Batuko 2026ko Datuen (Erabilera eta Sarbidea) Legeak, 2026ko ekainaren 19an Errege Baimena jaso zuena, datuak babesteko legean aldaketa gehiago dakartza, eta Erresuma Batuan kokatutako enpresa txikiek legezko aholkulariarekin berrikusi beharko lituzkete beren kontrolatzaile-betebeharrak eguneratuta daudela ziurtatzeko [1].
Maiz Egindako Galderak
G: SaaS enpresa bat beti prozesatzailea al da? SaaS enpresa bat prozesatzailea da soilik bere bezeroen izenean eta helburu independenterik gabe datu pertsonalak prozesatzen dituenean. Bezeroen datuak bere analitikarako, produktuaren hobekuntzarako edo marketinerako erabiltzen baditu, jarduera horien kontrolatzaile bihurtzen da.
G: Prozesatzaile batek gainbegiratze-agintaritza batean erregistratu behar al du? Erregistro-eskakizunak EBko estatu kidearen arabera aldatzen dira. Hala ere, prozesatzaileek Prozesamendu-Jardueren Barne Erregistroak (RoPA) mantendu behar dituzte GDPRren 30. artikuluaren arabera, baldin eta 250 pertsona edo gehiago enplegatzen badituzte, edo prozesamenduak datu-subjektuentzat arriskua ekar dezakeen.
G: Prozesatzaile batek kontrolatzailearen argibide bati uko egin al diezaioke? Bai, argibidea jarraitzeak prozesatzaileari GDPR urratzea eskatuko balio. Kasu horietan, prozesatzaileak kontrolatzaileari jakinarazi beharko lioke eta, argibidea zuzentzen ez bada, harremana amaitu beharko luke.
G: Zer da kontrolatzaile bateratuaren akordio bat? Kontrolatzaile bateratuak bi entitate edo gehiagok prozesamenduaren helburuak eta bitartekoak elkarrekin zehazten dituztenean sortzen dira. Beren erantzukizunak gardentasun-akordio batean dokumentatu behar dituzte eta akordio horren funtsa datu-subjektuen eskura jarri [1].
G: Zenbat denbora egon behar du DPA batek indarrean? DPA batek prozesamendu-harremanaren iraupen osoan egon beharko luke indarrean. Amaitzean, prozesatzailearen betebeharra arautzen du datu pertsonal guztiak ezabatzeko edo itzultzeko.
G: Prozesatzaileak kontrolatzaileei ezarritako isunen erantzule al dira? Ez. Isunak urraketa egin zuen entitateari ezartzen zaizkio. Hala ere, prozesatzaileek beren urraketengatik isun bereiziak jasan ditzakete, eta DPAren arabera kontrolatzaileen kalte-ordain eskaerak jasan ditzakete.
G: GDPR aplikatzen al zaie EBtik kanpo kokatutako prozesatzaileei? Bai. GDPR EBtik kanpo kokatutako prozesatzaileei aplikatzen zaie, baldin eta EBko egoiliarren datu pertsonalak EBn kokatutako kontrolatzaileen izenean prozesatzen badituzte, edo bestela GDPRren lurralde-esparruaren mende badaude 3. artikuluaren arabera.
G: Zein da DPA baten eta Kontratu Klausula Estandar baten arteko aldea? DPA batek kontrolatzaile-prozesatzaile harremana arautzen du nazio mailan. Kontratu Klausula Estandarrak (SCC) datu pertsonalak EB/EEEtik kanpo dauden hirugarren herrialdeetara transferitzeko mekanismo kontratual espezifikoak dira, egokitasun-erabakirik ez dutenak.
Ondorioa
Kontrolatzailea vs. Prozesatzailea: Zure Erantzukizuna ulertzea GDPRren arabera ez da ariketa juridiko abstraktu bat, arauzko isunak nork jasaten dituen, datu-subjektuei nork konpentsatzen dien eta zerbait gaizki ateratzen denean gainbegiratze-agintarien aurrean nork erantzuten duen zehazten du. Bereizketa erabakiak hartzeko autoritateari buruzko gertaera-galdera batean oinarritzen da, ez kontratu-etiketetan.
Hurrengo urrats praktikoak:
- Datu-mapaketa ariketa bat egin, prozesamendu-jarduera bakoitza eta zure erakundearen rola bakoitzean identifikatzeko.
- Lehendik dauden hornitzaile-kontratuak ikuskatu, kontratatzen duzun prozesatzaile bakoitzarekin DPA betetzaileak daudela baieztatzeko.
- Azpiprozesatzaile-akordioak berrikusi, aurretiazko baimena dagoela eta betebehar baliokideak ezartzen direla ziurtatzeko.
- Jarduera desberdinetan kontrolatzaile eta prozesatzaile gisa jarduten baduzu, dokumentatu rol bakoitza bereizita.
- Erresuma Batuko erakundeentzat, berrikusi 2026ko Datuen (Erabilera eta Sarbidea) Legearen inplikazioak legezko aholkulari kualifikatu batekin.
- Biscotti CMP bezalako baimen-kudeaketarako irtenbide bat ezarri, baimen-erregistro auditagarriak mantentzeko eta zure kontrolatzaile-betebeharrak babesteko.
Sailkapen okerra ez da xehetasun tekniko bat, finantza- eta ospe-ondorio zuzenak dituen betetze-hutsune bat da. Rolak hasieratik ondo zehaztea da edozein erakundek egin dezakeen GDPR inbertsiorik eraginkorrena.
Erreferentziak
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai